分类目录归档：PHP技术

2014
11-07

PHP基础之引用的解释1——引用是什么、不是什么、做什么

引用是什么在PHP中引用意味着用不同的名字访问同一个变量内容。这并不像C的指针，替代的是，引用是符号表别名。注意在PHP中，变量名和变量内容是不一样的，因此同样的内容可以有不同的名字。最接近的比喻是Unix的文件名和文件本身——变量名是目录条目，而变量内容则是文件本身。引用可以被看作是Unix文件系统中的hardlink。引用做什么PHP的引用允许用两个变量来指向同一个内容。意思是，当这样做时：<?php... 继续阅读 >
2014
11-07

PHP基础之引用的解释2——引用传递和返回

引用传递可以将一个变量通过引用传递给函数，这样该函数就可以修改其参数的值。语法如下：<?phpfunctionfoo(&$var){$var++;}$a=5;foo($a);//$ais6here?>注意在函数调用时没有引用符号——只有函数定义中有。光是函数定义就足够使参数通过引用来正确传递了。在最近版本的PHP中如果把&用在 foo(&$a); 中会得到一条警告说“Call-timepass-by-reference”已经过时了。... 继续阅读 >
2014
11-07

PHP基础之引用的解释3——引用的取消和定位

取消引用当unset一个引用，只是断开了变量名和变量内容之间的绑定。这并不意味着变量内容被销毁了。例如：<?php$a=1;$b=&$a;unset($a);?>不会unset $b，只是 $a。再拿这个和Unix的 unlink 调用来类比一下可能有助于理解。引用定位许多PHP的语法结构是通过引用机制实现的，所以上述有关引用绑定的一切也都适用于这些结构。一些结构，例如引用传递和返回，已经在上面提到了。其它... 继续阅读 >
2014
11-07

PHP基础之预定义变量

对于全部脚本而言，PHP提供了大量的预定义变量。这些变量将所有的外部变量表示成内建环境变量，并且将错误信息表示成返回头。超全局变量 —超全局变量是在全部作用域中始终可用的内置变量$GLOBALS —引用全局作用域中可用的全部变量$_SERVER —服务器和执行环境信息$_GET —HTTPGET变量$_POST —HTTPPOST变量$_FILES —HTTP文件上传变量$_REQUEST —... 继续阅读 >
2014
11-07

PHP基础之预定义异常

1.Exception(PHP5>=5.1.0)简介Exception是所有异常的基类。方法Exception::__construct —异常构造函数Exception::getMessage —获取异常消息内容Exception::getPrevious —返回异常链中的前一个异常Exception::getCode —获取异常代码Exception::getFile —获取发生异常的程序文件名称Exception::getLine —获取发生异常的代码在文件中的行... 继续阅读 >
2014
11-07

PHP基础之预定义接口1——Traversable接口

简介检测一个类是否可以使用 foreach 进行遍历的接口。无法被单独实现的基本抽象接口。相反它必须由 IteratorAggregate 或 Iterator 接口实现。Note:实现此接口的内建类可以使用 foreach 进行遍历而无需实现 IteratorAggregate 或 Iterator 接口。Note:这是一个无法在PHP脚本中实现的内部引擎接口。IteratorAggregate 或 Iterator 接口可以用来代替它。接口摘要Traversable {}这个接口没有任何方... 继续阅读 >
2014
11-07

PHP基础之预定义接口2——Iterator接口

可在内部迭代自己的外部迭代器或类的接口。接口摘要IteratorextendsTraversable{/*方法*/abstractpublicmixedcurrent(void)abstractpublicscalarkey(void)abstractpublicvoidnext(void)abstractpublicvoidrewind(void)abstractpublicbooleanvalid(void)}预定义迭代器PHP已经提供了一些用于日常任务的迭代器，如SPL迭代器。范例Example#1基本用法... 继续阅读 >
2014
11-07

PHP基础之预定义接口5——Serializable接口

自定义序列化的接口。实现此接口的类将不再支持 __sleep() 和 __wakeup()。不论何时，只要有实例需要被序列化，serialize方法都将被调用。它将不会调用__destruct()或有其他影响，除非程序化地调用此方法。当数据被反序列化时，类将被感知并且调用合适的unserialize()方法而不是调用__construct()。如果需要执行标准的构造器，你应该在这个方法中进行处理。接口摘要Serializable{/*方法*/abstractpub... 继续阅读 >
2014
11-07

PHP基础之上下文（Context）选项和参数

PHP提供了多种上下文选项和参数，可用于所有的文件系统或数据流封装协议。上下文（Context）由 stream_context_create() 创建。选项可通过stream_context_set_option() 设置，参数可通过 stream_context_set_params() 设置。Socketcontextoptions —Socket上下文选项列表HTTPcontextoptions —HTTP上下文选项列表FTPcontextoptions —FTP上下文选项列表SSL... 继续阅读 >
2014
11-07

PHP基础之PHP支持的协议和封装协议

PHP带有很多内置URL风格的封装协议，可用于类似 fopen()、 copy()、 file_exists() 和 filesize() 的文件系统函数。除了这些封装协议，还能通过stream_wrapper_register() 来注册自定义的封装协议。Note: 用于描述一个封装协议的URL语法仅支持 scheme://... 的语法。 scheme:/ 和 scheme: 语法是不支持的。file:// —访问本地... 继续阅读 >
2014
11-07

PHP安全之简介和总则

简介PHP作为一种强大的语言，无论是以模块还是 CGI 的方式安装，它的解释器都可以在服务器上访问文件、运行命令以及创建网络连接等。这些功能也许会给服务器添加很多不安全因素，但是只要正确地安装和配置PHP，以及编写安全的代码，那么PHP相对于Perl和C来说，是能创建出更安全的CGI程序的。而且，也可以在可用性和安全性之间找到一个很好的平衡点。PHP可能会被用在很多不同的方面，因此，PHP内置的选项... 继续阅读 >
2014
11-07

PHP安全之以CGI 模式安装时可能遇到的攻击及解决办法

如果不想把PHP嵌入到服务器端软件（如Apache）作为一个模块安装的话，可以选择以 CGI 的模式安装。或者把PHP用于不同的CGI封装以便为代码创建安全的chroot和setuid环境。这种安装方式通常会把PHP的可执行文件安装到web服务器的cgi-bin目录。尽管PHP可以作为一个独立的解释器，但是它的设计使它可以防止下面类型的攻击：访问系统文件：http://my.host/cgi-bin/php?/etc/passwd 在URL请求的问号（?）后面... 继续阅读 >
2014
11-07

PHP安全之以Apache模式安装时可能遇到的攻击及解决办法

当PHP以Apache模块方式安装时，它将继承Apache用户（通常为“nobody”）的权限。这对安全和认证有一些影响。比如，如果用PHP来访问数据库，除非数据库有自己的访问控制，否则就要使“nobody”用户可以访问数据库。这意味着恶意的脚本在不用提供用户名和密码时就可能访问和修改数据库。一个webSpider也完全有可能偶然发现数据库的管理页面，并且删除所有的数据库。可以通过Apache认证来避免此问题，或者用LDAP、.htac... 继续阅读 >
2014
11-07

PHP安全之文件系统安全及防范措施

PHP遵从大多数服务器系统中关于文件和目录权限的安全机制。这就使管理员可以控制哪些文件在文件系统内是可读的。必须特别注意的是全局的可读文件，并确保每一个有权限的用户对这些文件的读取动作都是安全的。PHP被设计为以用户级别来访问文件系统，所以完全有可能通过编写一段PHP代码来读取系统文件如/etc/passwd，更改网络连接以及发送大量打印任务等等。因此必须确保PHP代码读取和写入的是合适的文件。请看下面的代码... 继续阅读 >
2014
11-07

PHP安全之文件系统安全——Null字符问题

由于PHP的文件系统操作是基于C语言的函数的，所以它可能会以您意想不到的方式处理Null字符。Null字符在C语言中用于标识字符串结束，一个完整的字符串是从其开头到遇见Null字符为止。以下代码演示了类似的攻击：Example#1会被Null字符问题攻击的代码<?php$file=$_GET['file'];//"../../etc/passwd\0"if(file_exists('/home/wwwrun/'.$file.'.php')){//文件/home/wwwrun/../../etc/passw... 继续阅读 >
2014
11-07

PHP安全之数据库安全——SQL注入及预防措施

很多web开发者没有注意到SQL查询是可以被篡改的，因而把SQL查询当作可信任的命令。殊不知道，SQL查询可以绕开访问控制，从而绕过身份验证和权限检查。更有甚者，有可能通过SQL查询去运行主机操作系统级的命令。直接SQL命令注入就是攻击者常用的一种创建或修改已有SQL语句的技术，从而达到取得隐藏数据，或覆盖关键的值，甚至执行数据库主机操作系统命令的目的。这是通过应用程序取得用户输入并与静态参数组合成SQL... 继续阅读 >
2014
11-07

PHP安全之数据库安全——设计、连接和加密

设计数据库第一步一般都是创建数据库，除非是使用第三方的数据库服务。当创建一个数据库的时候，会指定一个所有者来执行和新建语句。通常，只有所有者（或超级用户）才有权对数据库中的对象进行任意操作。如果想让其他用户使用，就必须赋予他们权限。应用程序永远不要使用数据库所有者或超级用户帐号来连接数据库，因为这些帐号可以执行任意的操作，比如说修改数据库结构（例如删除一个表）或者清空整个数据库的内容。应该为程... 继续阅读 >
2014
11-07

PHP安全之错误报告

对于PHP的安全性来说错误报告是一把双刃剑。一方面可以提高安全性，另一方面又有害。攻击系统时经常使用的手法就是输入不正确的数据，然后查看错误提示的类型及上下文。这样做有利于攻击者收集服务器的信息以便寻找弱点。比如说，如果一个攻击者知道了一个页面所基于的表单信息，那么他就会尝试修改变量：Example#1用自定义的HTML页面攻击变量<formmethod="post"action="attacktarget?username=badfoo&amp;password... 继续阅读 >
2014
11-07

PHP安全之使用 Register Globals

本特性已自PHP5.3.0起废弃并将自PHP5.4.0起移除。可能 PHP 中最具争议的变化就是从 PHP 4.2.0 版开始配置文件中 PHP 指令 register_globals 的默认值从on改为off了。对此选项的依赖是如此普遍以至于很多人根本不知道它的存在而以为 PHP 本来就是这么工作的。本节会解释用这个指令如何写出不安全的代码，但要知道这个指令本身没有不安全的地方，误用才会。当... 继续阅读 >
2014
11-07

PHP安全之用户提交的数据

很多PHP程序所存在的重大弱点并不是PHP语言本身的问题，而是编程者的安全意识不高而导致的。因此，必须时时注意每一段代码可能存在的问题，去发现非正确数据提交时可能造成的影响。Example#1危险的变量用法<?php//从用户目录中删除一个文件，或者……能删除更多的东西？unlink($evil_var);//记录用户的登陆，或者……能否在/etc/passwd添加数据？fwrite($fp,$evil_var);//执行一些普通的命... 继续阅读 >
2014
11-07

PHP安全之魔术引号——什么是魔术引号以及如何使用

注：魔术引号特性已自PHP5.3.0起废弃并将自PHP5.4.0起移除。什么是魔术引号当打开时，所有的 '（单引号），"（双引号），\（反斜线）和 NULL 字符都会被自动加上一个反斜线进行转义。这和 addslashes() 作用完全相同。一共有三个魔术引号指令：magic_quotes_gpc 影响到 HTTP 请求数据（GET，POST和COOKIE）。不能在运行时改变。在 PHP 中默认值为 on。magic_quotes_runtime 如果打开的话，大部份从外部... 继续阅读 >
2014
11-07

PHP安全之隐藏PHP脚本扩展名

一般而言，通过隐藏的手段提高安全性被认为是作用不大的做法。但某些情况下，尽可能的多增加一份安全性都是值得的。一些简单的方法可以帮助隐藏PHP，这样做可以提高攻击者发现系统弱点的难度。在 php.ini 文件里设置expose_php=off，可以减少他们能获得的有用信息。另一个策略就是让web服务器用PHP解析不同扩展名。无论是通过 .htaccess 文件还是Apache的配置文件，都可以设置能误导攻击者的文件扩展名：Exampl... 继续阅读 >